(57)【要約】【課題】監査ログのように正常系の情報までを取得する必要がある場合、多量のログ全てを一括して取得、蓄積、表示することは、ログ情報の圧縮技術だけでは実現が難しい。【解決手段】前記課題を解決するため、本発明では、多量に発生するログを、その類似度や結果の有無に従ってサマリログとその他詳細ログに分離し、情報量の多いサマリログを重点的に保存や転送することで、ログ情報量を維持し、かつＣＰＵや記憶装置等のコンピューティングリソース負荷を低減させることにある。【選択図】図１
2010039878.tif 000002
【特許請求の範囲】
【請求項１】
計算機のアプリケーションから発生した複数のログを、類似度が強いログをひとまとめにするロググループ化手段と、グループ化した複数のログの中から最もグループの特徴を現すログをサマリログとして選択する手段と、サマリログとそれ以外の詳細ログを保管場所を分けて出力する手段とを有することを特徴とするログ分類装置。
【請求項２】
前記のロググループ化手段は、一つのログを基準にして、そのログと別のログとの類似度を計算し、その類似度がロググループ化ポリシーで定められる基準値以上（または、以下）のログを一つのロググループとすることを特徴とする、請求項１のログ分類装置。
【請求項３】
前記のサマリログ選択手段は、グループ化した複数のログの中から、サマリログ選択ポリシーで定める、最も類似度が強い、または結果を有する等の条件に従ってサマリログを選択することを特徴とする、請求項１のログ分類装置。
【請求項４】
計算機のアプリケーションから発生した複数の詳細ログと、詳細ログの中のアプリケーションの重要な状態や状態の変化を表すサマリログと、を用いて、別々の計算機に存在するサマリログと詳細ログを利用者の要求に応じて一括して収集するログ収集手段を有することを特徴とするログ表示装置。
【請求項５】
計算機のアプリケーションから発生した複数の詳細ログと、詳細ログの中のアプリケーションの重要な状態や状態の変化を表すサマリログと、を用いて、サマリログからドリルダウン式にログ表示を行う選択的詳細化表示手段を有することを特徴とするログ表示装置。
【請求項６】
計算機の記憶装置に保存する１つのロググループの詳細ログのログ情報の特徴を表すコード（ハッシュ値など）を生成する手段と、そのコードをサマリログに付与して別の計算機の記憶装置に転送する手段と、その後別のタイミングで、詳細ログを別の計算機の記憶装置へ転送する時に、詳細ログのログ情報の特徴を表すコードを再度計算し、先に別の計算機の記憶装置に保存されたサマリログに付加された詳細ログのログ情報の特徴を表すコードとを比較し、２つのコードが一致していることで改ざんが行われていないことを証明することを特徴とするログ改ざん防止システム。
【請求項７】
前記のログ情報の特徴を表すコードを生成する手段は、計算機のアプリケーションから発生した１つのロググループの詳細ログを計算機の記憶装置に保存する手段と、そのロググループのアプリケーションの重要な状態や状態の変化を表すログをサマリログとして選択する手段と、計算機の記憶装置に保存する１つのロググループの詳細ログのログ情報の特徴を表すコードをサマリログに連携させて別の計算機の記憶装置に転送するログ出力手段と、を有することを特徴とする、請求項６のログ改ざん防止システム。
【請求項８】
前記のログ情報の特徴を表すコードを比較する手段は、計算機の記憶装置に保存された該当ロググループの詳細ログを別の計算機へ転送、表示する時に、該当ロググループの詳細ログのログ情報の特徴を表すコードを計算する手段と、その計算したコードと、先の別の計算機の記憶装置に保存された同一グループのサマリログに付加された詳細ログのログ情報の特徴を表すコードと、を比較し、２つのコードが一致していることで改ざんが行われていないことを証明することを特徴とする、請求項６のログ改ざん防止システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は汎用オペレーティングシステム上でのログ分割出力および表示方法に関する
【背景技術】
【０００２】
ログは、従来のコンピューティングシステムにおいては、システム運用の安定的な運用を目的とした監視のための障害ログやＲＡＳログが主要の位置付けであった。加えて最近はセキュリティの不正監視などにも活用されている。これらのログは基本的にはシステムの異常系のログだけを採取していれば異常、不正として検出、対処することができた。
【０００３】
例えば、特許文献１がこれにあたり、同一のログ情報を別々の管理装置で多重管理することにより、ログ情報に関する管理者の不正行為を容易に発見できるようにしたログ管理システムを提供する。
【０００４】
これに代わって近年は、内部統制や財務監査の目的のためにシステムの正常性を証明する必要があり、このために監査用のログが利用されるようになってきている。監査用のログは上記障害、不正のログとは異なり、正常時のログも必要とされる。正常時のログを蓄積すると、そのログ量は異常時のログの数倍以上になることが経験上分かっている。監査用のログを全て採取、保存するためには、ログの圧縮などの対策が必要になる。
【０００５】
特許文献２は、ローカル媒体において所定のタイミングで圧縮し、自動的に圧縮された監査ログファイルを外部媒体に転送することにより、監査ログの保管管理でシステムのスループットが低下することを防いでいる。
【０００６】
上記以外においても、外部の高速大容量媒体への出力や、出力するログ情報の厳選による出力量削減などの対策が提案されている。
【０００７】
【特許文献１】特開２００７−１４１１７１号公報
【特許文献２】特開２００６−２２１６１７号公報
【発明の開示】
【発明が解決しようとする課題】
【０００８】
一般的に、大量のログを蓄積、およびネットワークなどでの転送を行う場合には、特許文献２のように圧縮をすることでデータ量を削減し、負荷を軽減する。しかし、この場合、ログを圧縮するためには、そのためにＣＰＵ等のコンピューティングリソースを必要とすることが多い。また、監査目的のログの場合には正常系のログ全てを保存する必要があり、従来のトラブルシュート用の異常系のログ量の数倍のログを処理する必要がある。ましてや特許文献１のように改ざん防止を実現するために、複数の記憶媒体を利用する場合には倍の記憶媒体リソースを用意する必要がある。
【０００９】
本発明は、上記問題点に鑑みてなされたもので、その目的は、多量のログをその類似度に従って複数のロググループに分類し、また、その類似度や結果の有無に従ってサマリログとその他の詳細ログに分類し、１つのログに含まれる情報量の多いサマリログを重点的に表示、保存、あるいは転送することで、ログの情報量を損なうことなく、ＣＰＵ、記憶装置、ネットワーク等のコンピューティングリソース負荷を低減させることを目的としたログ管理システムおよびログ管理方式を提供することにある。
【００１０】
本発明の他の目的は、サマリログとその他の詳細ログを分類するサマリログ選択機能を設けることにより、サマリログ選択ポリシーだけを定義することで、従来のログメッセージ毎に個別の静的定義を行う方式を用いることなく、サマリログを選択可能とすることによる管理工数低減を目的としたログ分類システムおよびログ分類方式を提供することにある。
【００１１】
本発明の別の目的は、サマリログを表示し、その他の詳細ログを必要に応じてサマリログからドリルダウンに表示あるいは出力できるログ表示システムおよびログ表示方式を提供することにより、運用管理工数低減を目的としたログ表示システムおよびログ表示方式を提供することにある。
【００１２】
また、本発明の別の目的は、その他詳細ログ情報の特徴を表すコード（ハッシュ値など）をサマリログに付与して別の計算機の記憶装置へ転送することで、計算機の記憶装置に保存されたサマリログ以外の詳細ログの改ざんを防止する機能を有するログ改ざん防止システムを提供することにある。
【課題を解決するための手段】
【００１３】
上記課題を解決すべく、本発明では、計算機であるログ対象サーバのアプリケーションから出力された複数のログを、そのログの類似度と情報の重要性を判断し、分類する機構を設けることにより、重要なログは別の計算機であるログ表示サーバの記憶装置で管理し、それ以外の詳細ログをログ対象サーバで管理することによって、ログの重要度に応じた出力先選択管理を行う。
【００１４】
本発明のログ対象サーバは、ログを出力するアプリケーションが動作する監査対象サーバであって、アプリケーションから出力された複数のログを、ログ対象サーバに設けられたロググループ化ポリシーデータベースに従って類似度が強いログをひとまとめにするロググループ化機構と、ログ対象サーバに設けられたサマリログ選択ポリシーデータベースに従ってグループ化した複数のログの中から最も類似度が強く、かつ結果を有するサマリログを選択する機構と、サマリログとそれ以外のログの保管場所を分けて出力するログ出力機構と、を備えるログ分類装置から構成される。
【００１５】
これにより、多量のログをその類似度や結果の有無に従ってサマリログとその他のログに分離し、情報量の多いサマリログを重点的に保存や転送することで、ログの情報量を損なうことなく、かつＣＰＵ等のコンピューティングリソース負荷を低減させることができる。
【００１６】
本発明の実施形態では、ログ正規化機構は、予めアプリケーションから出力されるログ情報を必要に応じて正規化するためにアプリケーションに連携させておく。アプリケーションからログが出力されると、ログ正規化機構によって必要に応じてログが正規化される。
【００１７】
本発明の実施形態では、ロググループ化機構は、定められたロググループ化ポリシーを用いて、複数のログを一つのロググループにまとめる。ロググループ化ポリシーとしては、ログ同士の相関を算出することで類似度を算出することができる。また、自動的に文字列間の距離（相関、相似）を算出する方法として、”Edit distance”や”Event Vector Sequence”といった方法がある。ロググループ化機構で関連の強いロググループがひとまとめにされた後、サマリログ選択機構にロググループが渡される。
【００１８】
本発明の実施形態では、サマリログ選択機構は、ロググループの中の最も重要な情報量の多いログをサマリログ選択ポリシーに基づいて、サマリログとして選択する。サマリログ選択方法としては、ロググループの中で最も他のログとの類似度が高いログを選択したり、処理の結果情報が付属していたり、あるいは事前に定義したログ識別情報を有するログを選択したりする方法がある。サマリログ選択機構により、サマリログとそれ以外のログに分けられたログは、従来通りの方法で、圧縮、転送、保存することができる。
【００１９】
本発明の実施形態では、ログ出力機構は、サマリログを出力するログ表示サーバとサマリログデータベースのアドレスを記憶するサマリログ出力先アドレスと、それ以外の詳細ログを出力するログ表示サーバと詳細ログデータベースのアドレスと、を記憶する詳細ログ出力先アドレスとを備え、サマリログはサマリログ出力先アドレスに基づいてログ情報を転送し、詳細ログは詳細出力先アドレスに基づいてログを転送する。
【００２０】
本発明のログ表示サーバは、ログ対象サーバとネットワークにより接続され、ログ表示サーバに設けられたサマリログデータベース、およびログ対象サーバに設けられた詳細ログデータベースのログデータを収集するログ収集機構と、ログ表示サーバに設けられたサマリログを表示し、その他の詳細ログを必要に応じてサマリログからドリルダウンに表示あるいは出力できるログ表示機構と、を備えるログ表示装置から構成される。
【００２１】
本発明の実施形態では、ログ収集機構は、サマリログを蓄積するログ表示サーバとサマリログデータベースのアドレスを記憶するサマリログ収集先アドレスと、それ以外の詳細ログを蓄積するログ対象サーバと詳細ログデータベースのアドレスを記憶する詳細ログ収集先アドレスとを備え、サマリログはサマリ収集先アドレスに基づいてログ情報を収集し、詳細ログは詳細収集先アドレスに基づいてログを収集する。
【００２２】
本発明の表示部は、ログ表示サーバと何らかの手段により接続され、分析者の指示に従いサマリログ、または詳細ログの表示を行う表示手段と、詳細ログ表示要求などの操作者からの指示をログ表示サーバへ伝達する入力手段と、を備える。
【００２３】
本発明のログ管理システムは、ログ対象サーバとログ表示サーバが１台の計算機で動作しても良いし、それぞれ複数台の計算機で動作しても良い。
【００２４】
本発明のログ管理方法は、ログを出力するアプリケーションが動作する監査対象サーバであって、アプリケーションから出力された複数のログを、ログ対象サーバに設けられたロググループ化ポリシーデータベースに従って類似度が強いログをひとまとめにするロググループ化ステップと、ログ対象サーバに設けられたサマリログ選択ポリシーデータベースに従ってグループ化した複数のログの中から最も類似度が強くかつ結果を有するサマリログを選択するステップと、サマリログと詳細ログの保管場所を分けて出力するログ出力ステップと、ログ対象サーバとネットワークにより接続され、ログ表示サーバに設けられたサマリログデータベース、および詳細ログデータベースのログデータを収集するログ収集ステップと、ログ表示サーバに設けられたサマリログを表示し、その他のログを必要に応じてサマリログからドリルダウンに表示あるいは出力するステップと、を含む。
【００２５】
ここで、アプリケーションから出力されたログが、類似度またはサマリログ選択のために正規化されていない場合は、ログ正規化ステップをロググループ化ステップの前に備えても良い。
【発明の効果】
【００２６】
本発明を用いれば、多量のログをその類似度や結果の有無に従ってサマリログとその他のログに分離し、情報量の多いサマリログを重点的に保存や転送することで、ログの情報量を損なうことなく、かつＣＰＵ等のコンピューティングリソース負荷を低減させることができる。
【００２７】
本発明を用いれば、サマリログとその他のログを分離するサマリログ選択機能を設けることにより、選択ポリシーだけを定義することでログメッセージ毎に個別の静的定義を行うことなく選択できるため、管理工数を低減することができる。
【００２８】
本発明を用いれば、サマリログを表示し、その他のログを必要に応じてサマリログからドリルダウンに表示あるいは出力することで利用者の運用効率を向上できる。
【００２９】
また、本発明を用いれば、詳細ログ情報の特徴を表すコード（ハッシュ値など）をサマリログに連携させてリモートサーバへ転送することでローカル保存されたサマリログ以外の詳細ログの改ざんを防止することができる。
【発明を実施するための最良の形態】
【００３０】
図１は、本発明の実施形態の全体概要を示す構成説明図である。
【００３１】
本実施形態では、ログ対象サーバ１のアプリケーション１Ａで出力される複数のログを、ログ対象サーバの詳細ログデータベース５とネットワークＣＮ１を介したログ表示サーバ２のサマリログデータベース４に分割して保存する。
【００３２】
このログ管理システムは、例えば、ログ対象サーバ１と、ログ表示サーバ２と、ログ表示部３と、サマリログデータベース４と、詳細ログデータベース５と、を備えて構成することができる。
【００３３】
本実施例では、ログ管理システムは、ログ対象サーバ１と、ログ表示サーバ２とを１対１でネットワークＣＮ１で連携しているが、ログ表示サーバ２が１台に対してログ対象サーバ１が複数台で構成されても良い。
【００３４】
ログ対象サーバ１は、１つまたは複数のアプリケーション１Ａから出力されるログを管理、分類するものであり、ログ正規化機構１Ｂと、ロググループ化機構１Ｃと、サマリログ選択機構１Ｄと、ログ出力機構１Ｅと、を備えたログ分類装置１Ｆにおいて構成することができる。
【００３５】
ログ分類装置１Ｆは、正規化したログを蓄積する正規化ログデータベース１０と、ロググループ化ポリシーを保持するロググループ化ポリシーデータベース１１と、サマリログ選択ポリシーを保持するためのサマリログ選択ポリシーデータベース１２と、を備えて構成することができる。
【００３６】
ログ対象サーバ１は、多量の詳細ログを蓄積することができるローカルな詳細ログデータベース５を備えて構成することができる。
【００３７】
ログ対象サーバ１は、ネットワークＣＮ１を通じてサマリログデータベース４にログデータを転送することができる。
【００３８】
ログ分類装置１Ｆは、アプリケーション１Ａに連携づけられたプログラムライブラリとして構成することができる。また、ログ分類装置１Ｆは、アプリケーション１Ａのためのミドルウエアとして構成することができる。また、ログ分類装置１Ｆは、ＯＳの一部機能として構成することもできる。
【００３９】
ログ正規化機構１Ｂは、アプリケーション１Ａから出力されるログが既に正規化済である場合は、省略しても良い。
【００４０】
ログ表示サーバ２は、１つまたは複数のログ対象サーバから転送されてくるログを管理、表示するものであり、ログ表示機構２Ａとログ収集機構２Ｂとを備えるログ表示装置２Ｆにおいて構成することができる。
【００４１】
ログ表示サーバ２は、サマリログを参照するためのサマリログデータベース４を備えて構成することができる。
【００４２】
ログ表示サーバ２は、ネットワークＣＮ１を通じて詳細ログデータベース５からログ情報を収集することができる。
【００４３】
表示部３は、ログ表示サーバ２と、何らかの手段で接続し、ログ表示機構２Ａ、ログ収集機構２Ｂと連携し、サマリログおよび詳細ログの表示や出力と、詳細ログ表示要求などの操作者からの指示の入力と、を行うことができる。
【００４４】
次に、本実施形態の動作を説明する。
【００４５】
アプリケーション１Ａから、何らかのログが出力されると、ログ正規化機構１Ｂによって、そのアプリケーション１Ａのログに対して定められた情報項目毎にログ情報を分割、正規化する。アプリケーション１Ａから出力されるログの例としては、「何日何時何秒に、財務情報文書に対して、課長が、審査を、完了した」などが挙げられる。ログ情報はアプリケーションや利用者毎に独自に生成される。
ロググループ化機構１Ｃは、アプリケーション１Ａまたはログ正規化機構１Ｂが出力したログを受け取り、まだグループ化されていないログからロググループ化ポリシー１１に基づいて、新たな関連の強いログをロググループとして生成する。
次に、サマリログ選択機構１Ｄは、１つのロググループの中からサマリログ選択ポリシー１２に基づいて、サマリログを選択する。
【００４６】
次に、ログ出力機構１Ｅは、サマリログをサマリログデータベース４へ出力する（Ｓ２）、と、同時に、サマリログ以外のログを詳細ログとして詳細ログデータベース５に出力する（Ｓ１）。
【００４７】
このように、アプリケーション１Ａから出力された全てのログのうち、重要な情報を持つサマリログだけをリモートのサマリログデータベース４へ送信することで、ＣＰＵやネットワークのコンピューティングリソース低減が可能になる。
【００４８】
このとき、詳細ログデータベース５には、サマリログ以外のログだけを出力しても良いし、サマリログとそれ以外の全てのログを出力しても良い。
【００４９】
さらに、ログ出力機構１Ｅは、詳細ログに出力するロググループの特徴を表すコード（ハッシュ値など）をサマリログに連携させてリモートサーバへ出力することでローカル保存されたサマリログ以外のログの改ざんを防止することができる。
【００５０】
ログ表示サーバ２のログ収集機構２Ｂは、サマリログをサマリログデータベース４から読み出してログ表示機構２Ａと、表示部３にて表示や印刷などの出力を行う（Ｓ３）。操作者が１つのサマリログの詳細ログを見たい場合は、ログ表示機構２Ａが、表示部３からの操作者指示に応じてログ収集機構２Ｂを通じて詳細ログデータベース５から詳細ログを収集し、表示や印刷などの出力を行う（Ｓ４）。
【００５１】
このとき、収集した詳細ログのロググループの特徴を表すコードと、サマリログに付与していたロググループの特徴を表すコードと、を比較し、改ざんや破壊が行われていないことを確認することにより、保存していたログの正当性や信頼性を主張できる。
【実施例１】
【００５２】
本発明の実施形態を詳細に説明する。
【００５３】
図２は、アプリケーションから出力されるログを時系列に並べてグループ化される様子を模式的に示す説明図である。
【００５４】
図２中のログ２１１，２１２，２１３，２１４，２１５，２２１，２２２，２３１，２３２は、図１中のログ対象サーバ１の正規化ログデータベース１０に蓄積されている。ログは左側から時系列順に出力されて来たことを示している。例えばログＡ１−２１１が最も出現が古いログである。ロググループ化機構１Ｃが最も古いログＡ１−２１１を見つけると、そのログをロググループＡ−２１を作成するためのロググループＡ−２１のシードログとしてポイントする。ロググループ化機構１Ｃが次のログＡ２−２１２とロググループＡ−２１のシードログＡ２−２１１を比較し、ロググループ化ポリシー１１で定めた類似度条件を満たす場合は、ログＡ２−２１２をロググループＡ−２１に追加するとともに、ログＡ２−２１２をロググループＡ−２１のシードログとしてシードログポインタ２５１でポイントし直す。ロググループ化機構１Ｃが次のログＢ１−２２１とシードログＡ２−２１２を比較し、ロググループ化ポリシー１１で定めた類似度条件を満たさない場合は、ログＢ１−２２１を別のロググループＢ−２２として処理し、ロググループＢ−２２のシードログとしてポイントする。ロググループ化機構１Ｃが、次のログＡ３−２１３とロググループＡ−２１のシードログＡ２−２１２とを比較し、ロググループ化ポリシー１１で定めた類似度条件を満たす場合は、ログＡ３−２１３をロググループＡ−２１に追加するとともに、ログＡ３−２１３をロググループＡ−２１のシードログとしてシードログポインタ２５２でポイントし直す。次にロググループ化機構１Ｃが次のログＣ１−２３１とロググループＡ−２１のシードログＡ３−２１３とを比較する。ここで、ロググループ化ポリシー１１で定めた類似度条件を満たさない場合は、次にログＣ１−２３１をロググループＢ−２２のシードログＢ１−２２１とを比較する。この場合もロググループ化ポリシー１１で定めた類似度条件を満たさない場合は、ログＣ１−２３１を別のロググループＣ−２３として処理し、ロググループＣ−２３のシードログとしてポイントする。
【００５５】
以上の処理を実行した時点での、ログのグループ化状態を、図２で示している。
【００５６】
ちなみに、これからグループ化するログについては点線２４２で表している。
【００５７】
図３は、１つのロググループＡ−２１の中からサマリログを選択する様子を模式的に示す説明図である。
【００５８】
図３中のログ２１１，２１２，２１３，２１４，２１５、およびロググループＡ−２１は、図１中のログ対象サーバ１のロググループ化機構１Ｃから渡されるログである。サマリログ選択機構１Ｄは、ロググループ化機構１Ｃから渡された全てのログ同士の類似度を計算する。例えば、ログＡ１−２１１は、ログＡ２−２１２と、ログＡ３−２１３と、ログＡ４−２１４と、ログＡ５−２１５との類似度を計算し、合計してログＡ１−２１１の類似度合計とする。同様にして各々のログの類似度合計を計算する。
【００５９】
類似度を計算するための基本類似度や基準値は、ロググループ化ポリシー１１と同様の値を用いても良いし、サマリログ選択ポリシー１２で独自に定義しても良い。
【００６０】
ここでは、類似度を模式的に線の太さで表している。例えばログＡ１−２１１とログＡ２−２１２との類似度は高い（つまり太い）線２４１で表している。また、ログＡ１−２１１とログＡ３−２１３との類似度は低い（つまり細い）線２４３で表している。
【００６１】
それぞれの類似度合計を比較した結果、ログＡ５−２１５が最大の類似度合計であることから、ログＡ５−２１５をサマリログとして選択する。
【００６２】
一方、ログＡ３−２１３およびログＡ５−２１５には結果情報がログとして出力されている。結果情報がある場合のログを重要なログとみなすサマリログ選択ポリシー１２が設定されている場合は、ログＡ３−２１３もサマリログとして確定する。ここで、ログＡ５−２１５も結果情報付きであるが、既にサマリログとして選択しているため、結局、ログＡ３−２１３とログＡ５−２１５と、がサマリログとして確定される（２６１）。
【００６３】
図４は、１つのロググループの中からサマリログを選択する様子を模式的に示す図３とは別の説明図である。
【００６４】
図４は、図３と同じ５つのログが１グループとなっているが、それぞれの類似度合計を比較した結果、ログＡ４−２１４が最大の類似度合計である場合を示している。図３と同様にログＡ３−２１３およびログＡ５−２１５には結果情報がログとして出力されている。結果情報がある場合のログを重要なログとみなすサマリログ選択ポリシー１２が設定されている場合は、結局、ログＡ３−２１３とログＡ４−２１４とログＡ５−２１５と、がサマリログとして確定される（２６１）。
【００６５】
さらに、サマリログ選択ポリシー１２にサマリログをロググループの半数以下に制限するサマリログ選択ポリシー１２が設定されている場合は、ログＡ３−２１３とログＡ４−２１４とログＡ５−２１５と、のサマリログ候補の内、サマリログ選択ポリシー１２が設定されているポリシー優先度に従い、優先度の高い１つあるいは２つのログがサマリログとして確定される。
【００６６】
図５は、連続したサマリログを格納するデータベース４を示す説明図である。
【００６７】
サマリログデータベース４に格納されるログ情報は、サマリログ選択機能１Ｄで選択されたサマリログである。各々のログ情報は、アプリケーション１Ａから出力されるログＩＤや結果などの情報と、ロググループ化機構１Ｃでグループに付加されたグループＩＤ−４１と、ログ出力機構１Ｅでそのグループに対して計算された詳細ログハッシュ値４２と、から構成される。各々のログ情報には文字列などのログ内容が含まれても良い。
【００６８】
図６は、連続した詳細ログを格納するデータベース５を示す説明図である。
【００６９】
詳細ログデータベース５に格納されるログ情報は、アプリケーション１Ａから出力される全てのログである。または、アプリケーション１Ａから出力される全てのログからサマリログ選択機能１Ｄで選択されたサマリログを取り除いた残りのログでも良い。各々のログ情報は、アプリケーション１Ａから出力されるログＩＤや結果や文字列などのログ内容などの情報と、ロググループ化機構１Ｃでグループに付加されたグループＩＤ−４１と、から構成される。
【００７０】
図７および図８で、サマリログと詳細ログとを切り替えて表示したり、ドリルダウンでサマリログから詳細ログを表示したりする方法を説明する。
図７は、連続したサマリログを表示する表示部を示す説明図である。
【００７１】
表示部３のサマリログ表示画面３１にサマリログ（２１３，２１５，２２２，２３２）が表示されている様子を表している。サマリログの表示情報としてはサマリログデータベース４に保存されているサマリログ、あるいは、ログ出力機構１Ｅから直接転送されたサマリログを時系列や特定の項目でソートした順に表示する。表示方法は、単純なスクロールでも良いし、ラップアラウンドしても良い。また、古いログをさかのぼって参照したり、特定の項目や文字列で検索したりできても良い。ログ分析者は、サマリログのうち、更に詳細の情報を見たいログを選択し、詳細ログ表示ボタン３１２を押下することで、選択したログに関連するログを表示させることができる。詳細ログを表示させる方法としては、表示されているサマリログのグループＩＤ−４１を入力する方法も考えられる。この説明図においては、サマリログＡ３−２１３と、サマリログＡ５−２１５と、のいずれを選択してもグループＡ−２１の詳細ログが表示される。
【００７２】
図８は、１つのロググループの詳細ログを表示する表示部を示す説明図である。
表示部３の詳細ログ表示画面３２は、図７のサマリログ表示画面３１で、ログＡ３−２１３またはログＡ５−２１５を選択した場合の詳細ログ一覧（２１１，２１２，２１３，２１４，２１５）を表示している。
【００７３】
詳細ログ表示画面３２は、サマリログ表示画面３１を切り替えて表示させても良いし、別ウインドウで表示させても良い。
【００７４】
詳細ログ表示画面３２からサマリログ表示画面３１に戻るためには戻るボタン３２１を押下する等の方法が考えられる。
【００７５】
表示方法については、本発明の本質ではないため、いろいろな手段が考えられる点を指摘するにとどめる。
【００７６】
図９は、ロググループ化ポリシー１１１と、グループ化ポリシーの基本類似度を計算するための基本類似度一覧１１４と、から構成されるグループ化ポリシーデータベース１１を示す説明図である。グループ化ポリシー１１１は、ポリシー優先度１１２、判定基準１１３と、から構成される。基本類似度一覧１１４は、ログ項目１１５、基本類似度１１６、説明１１７と、から構成される。ログ同士の比較対象項目をログ項目１１５として定義する。さらに、比較対照項目が同一であった場合の重み付けとなる基本類似度１１６とを格納している。この実施例では、静的に重みづけられた基本類似度を定義している。
【００７７】
ロググループ化ポリシー１１１は、基本類似度一覧１１４の比較対象とするログ項目１１５や重み付けとなる基本類似度１１６を静的／動的、あるいは手動／自動で変更する手段を設けても良い。
【００７８】
本発明の実施形態では、例えば、各ロググループのログの量が多すぎる場合には、ロググループ化ポリシー１１を変更することで、１つのロググループのログの量を少なくするような制御が可能である。
【００７９】
図１０は、サマリログ選択ポリシーを格納したデータベース１２を示す説明図である。優先度１２１は、サマリログを選択する上での条件の優先度を表す。判断基準１２２は、その選択条件を表す。本実施例では、優先度を付けた選択条件を示しているが、複数の条件をＡＮＤ（論理積）で満足するログだけをサマリログとしても良いし、複数の条件のＯＲ（論理和）で満足するログをサマリログとしても良い。
【００８０】
本発明の実施形態では、例えば、サマリログの量が多すぎる場合には、サマリログ選択ポリシー１２を変更することで、サマリログの量を少なくするような制御が可能である。
【００８１】
図１１は、アプリケーション１Ａからログが出力され、本発明により処理されて各データベースに出力されるまでのフローチャートであり、図中Ｓに数字を伏した符号はフローチャートの各ステップを示す。
【００８２】
まず、ステップＳ１０において、アプリケーション１Ａから出力されたログが、正規化済かどうかを判定する。ここで正規化とは、ログのメッセージが一定の規則の元、項目順に並んでいることを言う。例えば、「when=a, who=b, what=c, how=d, where=e」といった様にそれぞれの項目毎に比較しやすいように整理されたメッセージを示す。逆に正規化されていないメッセージとは、「a日bがcをdした。場所はeである。」などの一般言語などで表されたメッセージを示す。
【００８３】
アプリケーション１Ａから出力されたメッセージが、正規化されていない場合は、正規化機構１Ｂにおいて、ログの正規化を行う（Ｓ１０，Ｓ１１）。
【００８４】
正規化を行う第１の理由は、本発明において、複数のログの複数回の比較を行う場合、正規化されている場合は、その項目同士の部分比較で処理できることである。正規化されていない任意文字列の全体比較は、システムに多大な負荷をかけてしまう恐れがある。
【００８５】
正規化を行う第２の理由は、ログ同士の意味の一致、不一致を判定するために、正規化されたログの各項目の情報に一意の意味を与え、類似度の精度を上げるためである。
【００８６】
正規化されたログは、ロググループ化機構１Ｃへ順次送られる（Ｓ１２）。ここで、ロググループ化機構１Ｃは、アプリケーション１Ａから出力されるログ毎に、呼び出されても良いし、一定期間や一定の個数毎に呼び出されても良い。ロググループ化機構１Ｃで、複数のログが、１つのグループ化されたロググループに関連付けられる。
【００８７】
ロググループ化機構１Ｃの処理については、図１２の複数のロググループ化処理を示すフローチャートと、および図１３の新しい１つのロググループ化処理を示すフローチャートと、で後述する。
【００８８】
１つのグループ化されたロググループは、サマリログ選択機構１Ｄへ送られる（Ｓ１３）。サマリログ選択機構１Ｄによりロググループの中でのサマリログと詳細ログが分類される。
【００８９】
サマリログ選択機構１Ｄの処理については、図１４のサマリログ選択機構の処理を示すフローチャートで後述する。
【００９０】
サマリログと詳細ログが分類されたロググループは、ログ出力機構１Ｅへ送られる（Ｓ１４）。ログ出力機構１Ｅは、重要なログと区分されたサマリログについては、よりセキュアな、安定した記憶装置へ転送する。ここでセキュアとは、例えば、計算機の記憶装置よりも別の計算機の記憶装置の方がアプリケーションと同時に被害を受けづらい、ということを意味する。一方、サマリログ以外の詳細ログについては、ＣＰＵやＩ／Ｏ負荷が小さく、比較的容量の大きいローカルな記憶装置へ出力する。
【００９１】
図１２は、複数のロググループ化処理を示すフローチャートであり、図１３は、その処理の中の新しい１つのロググループ化処理の詳細を示すフローチャートである。図中Ｓに数字を伏した符号はフローチャートの各ステップを示す。
【００９２】
正規化されたログＡ１−２１１がロググループ化機構１Ｃへ渡されると、そのログをシードログ(ロググループの種という意味)とする(Ｓ２１)。同時にシードログの時間を基準値とする（Ｓ２２）。次にそれ以外の未だグループ化されていないログを探索し（Ｓ３１）、別のログがない場合は、次のログが発生するまで一時的に状態を保持する。次のログＡ２−２１２が発生した時点で(Ｓ３１)、最初のログＡ２−２１１と次のログＡ２−２１２との時刻差を計算(Ｓ３２)し、時間差がロググループ化ポリシー１１１で定める基準値以上離れている場合(Ｓ３３)は、該当するグループ化処理を終了する。一方、一定の時間差以内であれば、ロググループ化ポリシー１１の基本類似度一覧表１１４の基本類似度１１６を使用して類似度を計算(Ｓ３４)する。類似度が、ロググループ化ポリシー１１１の定める基準値以上の場合は類似度が高いと判断(Ｓ３５)して、同じロググループＡ−２１のログであるとグループ化(Ｓ３６)する。さらに、次のログＢ１−２２１が発生した時点で、ロググループＡ−２１のシードログＡ２−２１２との類似度を計算する、ここではシードログＡ２−２１２とログＢ１−２２１の類似度の計算結果がロググループ化ポリシー１１１で定める基準値より低いため、別のロググループＢ−２２を作成する(Ｓ３７)。
【００９３】
図１４は、サマリログ選択機構１Ｄの処理を示すフローチャートであり、図中Ｓに数字を伏した符号はフローチャートの各ステップを示す。図１４の処理を、図３の１つのロググループの中からサマリログを選択する様子を模式的に示す説明図を例に、説明する。
【００９４】
図３に示すように、複数のログＡ１−２１１〜Ａ５−２１５が一つのグループＡ−２１にグループ化されている場合、ロググループ中の全てのログ同士の組み合わせの類似度を計算する（Ｓ４１）。それぞれのログの類似度合計を求めた結果（Ｓ４２）、サマリログ選択ポリシー１２のなかに該当する定義がされている場合は、類似度合計が最大値であったログＡ５−２１５をサマリログ候補とする（Ｓ４３）。さらに同様に、サマリログ選択ポリシー１２のなかに該当する定義がされている場合は、結果情報がついているログＡ３−２１３およびログＡ５−２１５もサマリログ候補として選択する（Ｓ４４）。最終的にはサマリログ選択ポリシー１２の全ての定義に従ってサマリログを決定する（Ｓ４５）。
【００９５】
図１５は、ログ出力機構１Ｅの処理を示すフローチャートであり、図中Ｓに数字を伏した符号はフローチャートの各ステップを示す。
【００９６】
ログ出力機構１Ｅは、サマリログ選択機構１Ｄによりサマリログを含むグループ化されたログが生成されたタイミングで処理を開始する。最初にロググループ化が完了した最も生成時刻の古いサマリログを含むロググループを選択する（Ｓ５１）。
【００９７】
次に、選択した１つのロググループの特徴を表すコード（ハッシュ値など）を計算し、サマリログに付与できるように準備する（Ｓ５２）。
【００９８】
次に、ロググループの中でログの出力時刻が最も古いログを選択する（Ｓ５３）。
【００９９】
選択したログに対して、ロググループの識別子４１を付与する（Ｓ５４）。
【０１００】
選択したログがサマリログの場合（Ｓ５５）は、サマリログデータにロググループの特徴を表すコード４２（ハッシュ値など）を付与し（Ｓ５６）、サマリログデータベース４へ出力する（Ｓ５７）。一方、選択したログがサマリログでない場合は、そのまま詳細ログデータベース５へ出力する（Ｓ５８）。
【０１０１】
Ｓ５３からＳ５８までの処理ステップを、ロググループの全てのログに対して処理を繰り返す（Ｓ５９）。
【０１０２】
図１６は、ログ表示機構２Ａの処理を示すフローチャートであり、図中Ｓに数字を伏した符号はフローチャートの各ステップを示す。
【０１０３】
ログ表示機構２Ａは、サマリログを時系列順にサマリログデータベース４から取得し（Ｓ６１）、表示部３へ表示する（Ｓ６２）。ログ表示機構２Ａは、サマリログデータベース４に未表示のサマリログが存在し、かつ他の指示を受けない限り、表示を続ける（Ｓ６７）。操作者が表示部３を使用して、サマリログを選択し、その詳細ログ表示ボタン３１２によりログ表示機構２Ａに対して詳細ログの表示を指示した場合（Ｓ６３）、選択されたサマリログのグループＩＤ−４１を取得し（Ｓ６４）、ログ収集機構２ＣによりグループＩＤ−４１が同一の詳細ログを詳細ログデータベース５から取得し（Ｓ６５）、ログ表示機構２Ａにより表示部３へ詳細ログ表示画面３２を表示する（Ｓ６６）。
【実施例２】
【０１０４】
図１７の一般的な業務の流れを示す説明図と、
図１８の正規化したログを格納したデータベースを示す説明図と、
図１９の１つのグループ化したログを格納したデータベースを示す説明図と、
図２０の１つのグループ内の全てのログ同士の類似度を計算、格納したデータベースを示す説明図と、
図２１の１つのグループ内の各ログと他のログとの類似度を合計、格納したデータベースを示す説明図と、
図２２の１つのグループ内のサマリログを格納したデータベースを示す説明図と、
に基づいて第２実施例を説明する。
【０１０５】
本実施例を含む以下の実施例は、第１実施例の変形例に相当する。本実施例では、ある会社業務を例に内容をより具体的に示している。
【０１０６】
図１７の一般的な業務９０１では、売上伝票が作成され、承認を受けた後、計算機に入力される。Ｔ０１はその時点での業務内容を表している。複数の業務が合算され日計表、財務諸表として保存される。Ｔ０２はこの時の業務結果の一部を表している。これら一連の業務に対して、財務などの監査のために監査履歴Ｔ０３が出力される。Ｔ０３をログとして本発明で処理する場合を説明する。
【０１０７】
図１８は、ログＴ０３を正規化したデータを格納したデータベース１０を示す説明図である。各ログに対して、ログＩＤ−１０１と、日時１０２と、対象者１０３と、対象データ１０４と、処理１０５と、場所１０６と、目的１０７と、結果１０８と、状態１０９と、が正規化項目として格納されている。
【０１０８】
図１９は、複数のログのグループ化を行うために、各ログの図１８の正規化項目に対してシードログ１３０２と比較を行い、一致した場合はロググループ化ポリシー１１の中の基本類似度一覧表１１４で定めた基本類似度１１６を加算し、各ログ毎に各正規化項目の基本類似度を合計した結果を基本類似度合計１３０３として示している。各正規化項目が不一致の場合は、基本類似度は加算しない。各ログの基本類似度合計が、ロググループ化ポリシー１１の中の判断基準１１３で設定された基準値（本例では基準値＝１２）を超える、かつ、時間差が基準値（本例では３時間）未満のログを同一グループと判定する。
【０１０９】
ここで、図１９の例では、シードログをＭＳＧ２００４−Ｉ−１３０２としているが、例えばＭＳＧ２０００−Ｉなどの他のログであってもかまわない。処理方式、処理時間などによりグループ化処理が不統一となる可能性があるが、最終的に全てのログがグループ化とサマリログ化が行われるため、全てのサマリログはもれなく全ての詳細ログを網羅的に関係づけることができる。
【０１１０】
図２０は、サマリログを選択するために、１つのグループ内の全てのログ同士の類似度を計算、格納したデータベース１４０１を示す説明図である。ここでは、図１９でグループと判断されたログ１３０２とログ群１３０４との５つのログの中からサマリログを選択するために、正規化項目１０３〜１０７について一致／不一致を判定し、一致した場合には基本類似度１１６の重みを加点する。それを合計して基本類似度合計１３０３を計算する。本実施例では、サマリログ選択ポリシー１２の類似度計算にロググループ化ポリシー１１と同一の基本類似度１１６を使用しているが、サマリログ選択ポリシー専用の正規化項目、または基本類似度を設けても良い。
【０１１１】
次に図２１は、図２０で算出した、１つのグループ内の各ログと他のログとの類似度を合計、格納したデータベース１５０１と、その類似度合計１５０２の最大値からサマリログ１５０３を決定する様子を示す説明図である。
【０１１２】
この実施例では、サマリログを選択するポリシーとして、類似度が最大値であることを条件としているが、他のポリシー、例えば結果が異常なログをサマリログとして選択しても良い。どの様な選択ポリシーであっても、１つのロググループの代表ログを１つあるいは複数定めることができれば、本発明としては問題ない。
【０１１３】
但し、サマリログの蓄積コストが高い場合、例えばネットワークに大きな負荷を与えてしまう場合、あるいは、記憶装置の容量が貴重である場合、等の条件が加わる場合は、サマリログの量が少なくなるようにサマリログ選択ポリシー１２を設計する必要がある。
【０１１４】
図２２は、１つのグループ内のサマリログを格納したデータベース４を示す説明図である。ここでは、図２１の類似度最大のログ１５０３に加えて、結果が「ＯＫ」かつ状態が「完了」の条件を満たしたログもサマリログとして選択する例を示している。
【実施例３】
【０１１５】
図２３の正規化したログを格納したデータベースを示す別の実施例の説明図と、
図２４のロググループ化ポリシーと基本類似度一覧を格納したデータベースを示す別の実施例の説明図と、
図２５のシードログを格納したデータベースを示す説明図と、
図２６のシードログとの類似度を計算を保持するデータベースを示す別の実施例の説明図と、
図２７の１つのグループ化したログを格納したデータベースを示す別の実施例の説明図と、
図２８の１つのグループ内の全てのログ同士の類似度を計算し、１つのグループ内の各ログと他のログとの類似度を合計、最大類似度のサマリログを決定、格納するデータベースを示す別の実施例の説明図と、
図２９の１つのグループ内のサマリログを格納したデータベースを示す別の実施例の説明図と、
に基づいて第３実施例を説明する。
【０１１６】
本実施例を含む以下の実施例は、第１実施例の変形例に相当する。本実施例では、ある計算機のアプリケーション１Ａが出力するログを例に内容をより具体的に示している。
【０１１７】
図２３は、計算機のアプリケーション１Ａが出力する正規化されたデータを格納したデータベース１０を示す別の実施例の説明図である。
【０１１８】
図２４は、ロググループ化ポリシーデータベース１１のロググループ化ポリシー１１１と基本類似度一覧１１４とを示す別の実施例の説明図である。ログ同士の比較対照項目をログ項目１１５として定義する。さらに、同一であった場合の重み付けとなる基本類似度１１６と、説明１１７とを格納している。この実施例では、静的に重みづけられた基本類似度を定義している。
【０１１９】
図２５は、シードログを格納したデータベース１３０３を示す別の実施例の説明図である。
【０１２０】
図２６は、シードログとの類似度を計算、データベース１３０１を示す別の実施例の説明図である。この実施例では、静的に重みづけられた基本類似度の類似度が大の項目、中の項目、小の項目それぞれの個数で類似度を定量化している。
【０１２１】
図２７は、１つのグループ化したログを格納したデータベース２４を示す別の実施例の説明図である。なおかつ、１つのグループ化した詳細ログを格納した詳細ログデータベースの説明図でもある。
【０１２２】
図２８は、１つのグループ内の全てのログ同士の類似度を計算し、格納するデータベース１４０１と、１つのグループ内の各ログと他のログとの類似度合計１５０２を求め、類似度最大のログ(seqnum=62)１５０３を決定、格納するデータベース１５０１を示す別の実施例の説明図である。
【０１２３】
図２９は、１つのグループ内のサマリログを格納したデータベース４を示す別の実施例の説明図である。
【０１２４】
なお、本発明は、上述した各実施例に限定されない。当業者であれば、本発明で、種々の追加や変更を行うことができる。
【図面の簡単な説明】
【０１２５】
【図１】本発明の実施形態の概要を示す説明図である。
【図２】アプリケーションから出力されるログを時系列に並べてグループ化される様子を模式的に示す説明図である。
【図３】１つのロググループの中からサマリログを選択する様子を模式的に示す説明図である。
【図４】図３と同じであるが、別の実施例のサマリログ選択となる説明図である。
【図５】連続したサマリログを格納するデータベースを示す説明図である。
【図６】連続した詳細ログを格納するデータベースを示す説明図である。
【図７】連続したサマリログを表示する表示部を示す説明図である。
【図８】１つのロググループの詳細ログを表示する表示部を示す説明図である。
【図９】ロググループ化ポリシーを格納したデータベースを示す説明図である。
【図１０】サマリログ選択ポリシーを格納したデータベースを示す説明図である。
【図１１】アプリケーションからログが出力され、本発明により処理されて各データベースに出力されるまでのフローチャートである。
【図１２】複数のロググループ化処理を示すフローチャートである。
【図１３】新しい１つのロググループ化処理を示すフローチャートである。
【図１４】サマリログ選択機構の処理を示すフローチャートである。
【図１５】ログ出力機構の処理を示すフローチャートである。
【図１６】ログ表示機構およびログ収集機構の処理を示すフローチャートである。
【図１７】一般的な業務の流れを示す説明図である。
【図１８】正規化したログを格納したデータベースを示す説明図である。
【図１９】１つのグループ化したログを格納したデータベースを示す説明図である。
【図２０】１つのグループ内の全てのログ同士の類似度を計算、格納するデータベースを示す説明図である。
【図２１】１つのグループ内の各ログと他のログとの類似度を合計、格納するデータベースを示す説明図である。
【図２２】１つのグループ内のサマリログを格納するデータベースを示す説明図である。
【図２３】正規化したログを格納したデータベースを示す別の実施例の説明図である。
【図２４】ロググループ化ポリシーと基本類似度一覧を格納したデータベースを示す別の実施例の説明図である。
【図２５】シードログを格納したデータベースを示す説明図である。
【図２６】シードログとの類似度を計算、データベースを示す別の実施例の説明図である。
【図２７】１つのグループ化したログを格納したデータベースを示す別の実施例の説明図である。
【図２８】１つのグループ内の全てのログ同士の類似度を計算し、１つのグループ内の各ログと他のログとの類似度を合計、格納するデータベースを示す別の実施例の説明図である。
【図２９】１つのグループ内のサマリログを格納したデータベースを示す別の実施例の説明図である。
【符号の説明】
【０１２６】
１…ログ対象サーバ、１Ａ…アプリケーション、１Ｂ…ログ正規化機構、１Ｃ…ロググループ化機構、１Ｄ…サマリログ選択機構、１Ｅ…ログ出力機構、１Ｆ…ログ分類装置、２…ログ表示サーバ、２Ａ…ログ表示機構、２Ｂ…ログ収集機構、２Ｆ…ログ表示装置、３…表示部、４…サマリログデータベース、５…詳細ログデータベース、１０…正規化ログデータベース、１１…ロググループ化ポリシーデータベース、１２…サマリログ選択ポリシーデータベース、２１，２２，２３，２４…ロググループ、２１１，２１２，２１４，２２１，２３１…ログ、２１３，２１５，２２２，２３２…結果情報付きログ、２４１，２４３…類似度算定結果、２４２…類似度未算定、２５１…シードログポインタ(変更前)、２５２…シードログポインタ(変更後)、２６１…サマリログ出力、３１…サマリログ表示画面、３１２…詳細ログ表示ボタン、３２…詳細ログ表示画面、３２１…戻るボタン、４１…グループＩＤ、４２…サマリログ付属の詳細ログハッシュ値、１０１…ログＩＤ、１０２…日時情報、１０３…誰が情報、１０４…何を情報、１０５…どうした情報、１０６…どこ情報、１０７…なぜ情報、１０８…結果情報、１０９…状態情報、１１１…ロググループ化ポリシー、１１２…ポリシー優先度、１１３…判定基準、１１４…基本類似度一覧、１１５…ログ項目、１１６…基本類似度、１１７…説明、１２１…ポリシー優先度、１２２…判断基準(サマリログ選択ポリシー)、１３０１…類似度判定表、１３０２…シードログ例、１３０３…類似度合計、１３０４…類似判定ログ、１４０１…ログ間類似度計算表、１４０１１…比較ＩＤ、１５０１…類似度最大ログ判定表、１５０２…類似度合計、１５０３…サマリログ、ＣＮ１…ネットワーク、９０１…業務例、Ｔ０１…業務内容情報、Ｔ０２…業務結果情報、Ｔ０３…業務履歴情報。
【図１】
2010039878.tif 000003
【図２】
2010039878.tif 000004
【図３】
2010039878.tif 000005
【図４】
2010039878.tif 000006
【図５】
2010039878.tif 000007
【図６】
2010039878.tif 000008
【図７】
2010039878.tif 000009
【図８】
2010039878.tif 000010
【図９】
2010039878.tif 000011
【図１０】
2010039878.tif 000012
【図１１】
2010039878.tif 000013
【図１２】
2010039878.tif 000014
【図１３】
2010039878.tif 000015
【図１４】
2010039878.tif 000016
【図１５】
2010039878.tif 000017
【図１６】
2010039878.tif 000018
【図１７】
2010039878.tif 000019
【図１８】
2010039878.tif 000020
【図１９】
2010039878.tif 000021
【図２０】
2010039878.tif 000022
【図２１】
2010039878.tif 000023
【図２２】
2010039878.tif 000024
【図２３】
2010039878.tif 000025
【図２４】
2010039878.tif 000026
【図２５】
2010039878.tif 000027
【図２６】
2010039878.tif 000028
【図２７】
2010039878.tif 000029
【図２８】
2010039878.tif 000030
【図２９】
2010039878.tif 000031